De HR professional en privacy – Deel IV: de functionaris voor gegevensbescherming

 in Arbeidsrecht

Met de invoering van de AVG kunt u verplicht zijn een functionaris voor gegevensbescherming – ook vaak Data Protection Officer (DPO) genoemd – aan te stellen. Indien u hiertoe verplicht bent, is het noodzakelijk dat u tijdig ruimte maakt voor deze functie en uw onderneming zo inricht dat deze functionaris zijn werkzaamheden overeenkomstig de AVG kan verrichten.

Voor wie is een functionaris voor gegevensbescherming verplicht?

De verplichting om een functionaris voor gegevensbescherming aan te stellen geldt voor overheidsinstanties en publieke organisaties (ook zorg- en onderwijsinstellingen) en voor organisaties die regelmatig, systematisch en op grote schaal observeren (het volgen van individuen, profiling, cameratoezicht) of bijzondere persoonsgegevens verwerken (bijvoorbeeld gegevens over gezondheid, ras, strafrechtelijk verleden, politieke opvattingen). Er dient intern onderzoek plaats te vinden om de noodzaak tot het aanstellen van een functionaris voor gegevensbescherming vast te kunnen stellen. Deze onderzoeken moeten worden gedocumenteerd. Gelet op mogelijke wijzigingen binnen de organisatie, is dit een dynamisch proces. U kunt ook vrijwillig een functionaris voor gegevensbescherming aanstellen.

Niet elke onderneming hoeft een eigen functionaris aan te stellen. Het is mogelijk om als concern of groep van ondernemingen (bijvoorbeeld via een branchevereniging) een functionaris te ‘delen’. De voorwaarde die hierbij geldt, is dat de functionaris goed bereikbaar is.

Taken en positie

De functionaris voor gegevensbescherming heeft een groot aantal wettelijke taken. Niet alleen moet de functionaris toezien op de toepassing en naleving van de AVG en het beleid dat wordt gevoerd (waaronder bewustmaking en opleiding), ook moet de functionaris informeren en adviseren over de verplichtingen die voortvloeien uit de AVG. Daarnaast werkt de functionaris samen met en treedt op als contactpunt voor de toezichthoudende autoriteit. De functionaris is niet zelf aansprakelijk als de verordening wordt overtreden.

De positie van de functionaris is veiliggesteld in de AVG. Bij álle aangelegenheden die verband houden met de bescherming van persoonsgegevens moet de functionaris naar behoren en tijdig worden betrokken en om advies worden gevraagd. Dit houdt in dat de functionaris toegang wordt verschaft tot persoonsgegevens en verwerkingsactiviteiten. Verder moeten de benodigde middelen voor het kunnen vervullen van de taken en het in stand houden van de deskundigheid aan de functionaris ter beschikking worden gesteld. Indien van het advies van de functionaris wordt afgeweken, dient dit te worden gedocumenteerd.

Omdat de functionaris zijn werk onafhankelijk moet kunnen verrichten, mogen geen instructies worden gegeven met betrekking tot de uitvoering van de taken. Ook mag de functionaris niet worden ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris geniet dezelfde bescherming als leden van de ondernemingsraad en is gehouden tot geheimhouding of vertrouwelijkheid. Als de functionaris ook nog andere werkzaamheden verricht, mogen deze niet tot een belangenconflict leiden.

Conclusie

De functionaris voor gegevensbescherming is een expert en vervult een belangrijke positie binnen de onderneming. De functionaris dient te beschikken over specialistische deskundigheid met betrekking tot de privacywetgeving en de onderneming (waaronder deskundigheid met betrekking tot informatiesystemen, verwerkingsprocessen en te nemen beveiligingsmaatregelen).

Tegelijkertijd dient de onderneming klaar te zijn voor deze functionaris. Is voor management en personeel duidelijk wat de taken en bevoegdheden van de functionaris zijn, wordt de functionaris in voldoende mate gefaciliteerd en wordt de functionaris in staat gesteld om zijn werkzaamheden onafhankelijk uit te oefenen? Ook omdat het vinden van een geschikte kandidaat niet eenvoudig is en het klaarmaken van de onderneming tijd kost, is het noodzakelijk om tijdig op zoek te gaan naar een functionaris voor gegevensbescherming zodat uw organisatie op tijd voldoet aan de AVG.

Deel V de ondernemingsraad volgt over twee weken

Recent Posts
  • 26 april 2018

    Moet aanzeggen nu wél of niet schriftelijk?

    Marion Hagenaars
    Het lijkt zo eenvoudig: de werkgever informeert de werknemer schriftelijk uiterlijk een maand voordat een arbeidsovereenkomst voor bepaalde tijd van rechtswege eindigt over het al dan niet voortzetten van de arbeidsovereenkomst. Doet hij dit niet, dan is hij aan de werknemer een vergoeding verschuldigd. Waarom ontstaat er dan toch zo vaak discussie tussen werkgever en
    Lees verder
  • 19 maart 2018

    Wie bepaalt noodzaak en inhoud verbetertraject: werkgever of medewerker?

    Marion Hagenaars
    Voor de HR-professional een bekend verschijnsel: disfunctioneren. Met de aantrekkende arbeidsmarkt waardoor het vinden van geschikte kandidaten een uitdaging is, is de disfunctionerende medewerker voor de HR-professional een belangrijk agendapunt. Dit geldt zeker binnen de IT-branche. Maar wie bepaalt of een verbetertraject noodzakelijk is? En waar moet een goed verbetertraject aan voldoen?
    Lees verder
  • 13 maart 2018

    De HR professional en privacy – Deel VII: persoonsgegevens delen met derden

    Marion Hagenaars
    Evelien van den Berg
    Personeelsgegevens die u als werkgever verkregen heeft, mag u niet zomaar doorgeven aan personen of instanties buiten uw organisatie. Denk daarbij bijvoorbeeld aan de Belastingdienst, het UWV, het pensioenfonds of uw advocaat. Verstrekken van personeelsgegevens aan derden Als werkgever verwerkt u persoonsgegevens en daarop is de AVG van toepassing. U bent dan verwerkingsverantwoordelijke en dat
    Lees verder

Plaats een reactie